Agente de investigación de ataques

  • Se aplica a: Project Perception

Importante

Parte de la información contenida en este artículo se refiere a un producto preliminar que puede sufrir modificaciones sustanciales antes de su lanzamiento comercial. Microsoft no ofrece ninguna garantía, expresada o implícita, con respecto a la información proporcionada aquí. Project Perception está actualmente en versión preliminar pública limitada. El Programa de versión preliminar pública limitada significa que Perception está disponible para un pequeño conjunto de clientes de solo invitación para una ventana de vista previa definida antes de una disponibilidad pública más amplia.

El Agente de investigación de ataques es un investigador autónomo de nivel 2 para los equipos de operaciones de seguridad. A partir de una sola alerta o incidente, el agente correlaciona las señales de Microsoft Defender para reconstruir el caso de ataque, el ámbito y el impacto.

Puede iniciar una investigación con o sin un triaje previo realizado por un analista o por el Agente de triaje. En este artículo se describen las funcionalidades y los requisitos previos del agente. También se explica cómo configurar el agente, ejecutar y supervisar una sesión y revisar los resultados.

Principales funcionalidades

El agente de investigación de ataques ejecuta una investigación orquestada por inteligencia artificial de varios pasos que:

  • Reconstruye la historia de ataque completa: explica quién atacó, cómo obtuvo acceso, qué recursos afectaron, y el ámbito y el impacto del ataque. El agente va más allá de las alertas individuales.
  • Proporciona respuestas claras y accionables: explica el ámbito de ataque, el acceso inicial, la progresión, el impacto técnico, el estado de la investigación y la clasificación.
  • Investiga una amplia gama de ataques: investiga ataques que implican usuarios, dispositivos, aplicaciones en la nube, contenedores y otras entidades sin depender de un escenario predefinido.
  • Admite la investigación interactiva: permite a los analistas chatear con el agente a lo largo de la investigación para formular preguntas o solicitar un análisis más profundo.
  • Se adapta a su entorno: usa varios orígenes de datos y sigue las directivas y prácticas de su organización.

Prerequisites

Licencias requeridas

Para usar el Agente de investigación de ataques, la organización necesita lo siguiente:

  • Microsoft 365 E5
  • Microsoft Defender XDR

La organización también debe estar incorporada al lago de datos de Microsoft Defender y a la experiencia de seguridad unificada.

Para una cobertura de investigación más amplia, los productos recomendados dependen del tipo de ataque:

  • Ataques de nube y contenedor:
    • Microsoft Defender for Cloud
    • Microsoft Defender para contenedores
  • Ataques de identidad:
    • Microsoft Entra ID P2
    • Microsoft Defender for Identity
    • Microsoft Defender para aplicaciones en la nube

Use el control de acceso basado en roles (RBAC) unificado de Microsoft Defender. Esta configuración se recomienda para la calidad y la cobertura de la investigación.

Acceso a recursos de ámbito limitado

Si su organización usa Defender para grupos de dispositivos de punto de conexión, agregue la identidad del agente a todos los grupos de dispositivos que necesita antes de ejecutar una sesión. La configuración del agente no lo hace por usted y los incidentes que implican dispositivos en un grupo sin asignar producen un error o devuelven resultados incompletos.

Para otras opciones de configuración del alcance, consulte Configurar un agente.

Para obtener la mejor calidad de cobertura e investigación en las investigaciones de suplantación de identidad notificadas por el usuario, configure las siguientes opciones:

  • Microsoft Defender para Office 365: configure las siguientes opciones notificadas por el usuario:
    • Seleccione Supervisar mensajes notificados en Outlook.
    • Configure los mensajes notificados por los usuarios para que se envíen al buzón de informes, a Microsoft o a ambos destinos. Si usa una herramienta de informes que no es de Microsoft, configure la herramienta para que los mensajes notificados vayan a Microsoft y el buzón de informes o solo al buzón de informes.
  • Microsoft Defender:
    • Habilite la política de alertas Correo electrónico denunciado por un usuario como malware o phishing. Para obtener más información, consulte Directivas de alerta en Microsoft Defender.
    • Desactive la regla de ajuste de alertas integrada Resolución automática: correo electrónico denunciado por un usuario como malware o phishing y cualquier regla de ajuste personalizada que resuelva esta alerta. Para obtener más información, vea Optimizar una alerta.

Configura el agente

Para configurar este agente, siga los pasos descritos en Configuración de un agente.

Iniciar una sesión

Para obtener formas de iniciar una sesión, consulte Iniciar una nueva sesión.

El Agente de investigación de ataques usa el siguiente cuaderno de estrategias:

Playbook Entrada necesaria
Investigación del ataque Identificador de una sola alerta o incidente desde el portal de Microsoft Defender.

Nota

También puede iniciar este agente directamente desde la página de detalles de una alerta o incidente en el portal de Defender. Para más información, consulte Ejecutar guiones a partir de incidentes y de información sobre amenazas.

Supervisión del progreso de la sesión

Mientras se ejecuta la sesión, el panel de detalles de la sesión muestra lo siguiente:

  • Resumen: estado de sesión actual y trabajo completado.
  • Progreso: pasos de investigación completados.
  • Agentes: el agente asignado a la sesión.
  • Entradas: El identificador de alerta o incidente que ha proporcionado.
  • Artefactos: archivos de salida generados durante la investigación.

Valores de estado de sesión

Situación Description
En curso El agente está trabajando activamente.
Completed La sesión finalizó correctamente y toda la salida está disponible.
Completado con errores La sesión finalizó con uno o varios problemas. Revise los detalles de la sesión para obtener más información.

Revisar el resultado

El Agente de investigación de ataques genera un informe de investigación con las secciones siguientes:

  • Resumen ejecutivo: información general sobre el ataque a las partes interesadas y la escalación.
  • Veredicto de incidente: clasificación como verdadero positivo, falso positivo o benigno con razonamiento transparente.
  • Escala de tiempo de ataque: una secuencia cronológica de eventos clave que muestra la progresión del ataque desde el acceso inicial a través de la actividad posterior al compromiso.
  • Entidades afectadas: usuarios, dispositivos y aplicaciones identificados afectados por el ataque.
  • Técnicas de MITRE ATT&CK observadas: Asignación del comportamiento observado del atacante a las técnicas DE MITRE ATT&CK con evidencia para cada técnica.
  • Indicadores de compromiso: Indicadores de compromiso (IOC) extraídos y enriquecidos, incluidas direcciones IP, dominios, hashes de archivos, URL y direcciones de correo electrónico con contexto de inteligencia de amenazas.
  • Pasos siguientes recomendados: acciones prioritarias para la contención, corrección y prevención.

El informe aparece como un archivo Markdown en la sección Artefactos de los detalles de la sesión. Puede descargar el informe para agregar a la documentación de incidentes o a los registros de cumplimiento.

Importante

La salida del agente de investigación de ataques se genera mediante inteligencia artificial y se basa en los datos disponibles a través de Defender API. Revise siempre los resultados de precisión antes de tomar decisiones de corrección o comunique los resultados a las partes interesadas.

Solucionar problemas de recuperación de incidentes y alertas

Si una sesión informa de que no se encontró ni se pudo acceder a una alerta o un incidente, es posible que el recurso siga existiendo y sea visible para usted. Su acceso no establece el acceso del agente y el error por sí solo no identifica la causa.

Antes de empezar a solucionar problemas:

  1. En la página de la sesión agéntica del portal de Microsoft Defender, localice el incidente, caso o alerta que haya activado el agente. El agente puede acceder a un incidente o caso si tiene permiso de lectura en una o varias de sus alertas.

  2. En el portal de Microsoft Defender, vaya a Perception>Agents>Attack Investigation Agent, abra el agente y use los detalles de identidad para identificar al usuario agente y su rol RBAC unificado. Seleccione Ver acceso y, a continuación, seleccione Ver detalles del rol para ir al rol asignado actualmente al agente.

    Captura de pantalla de los detalles del Agente de investigación de ataques en la que se muestran sus permisos, el botón Ver acceso y la identidad del usuario agente.

Hallazgo Check
El incidente, caso o alerta tiene más de 30 días de antigüedad. Antigüedad del incidente
Una o varias cargas de trabajo de alerta no están cubiertas por la asignación de roles del agente. Acceso de lectura a la carga de trabajo
El incidente contiene una alerta de un espacio de trabajo de Microsoft Sentinel. acceso al área de trabajo de Microsoft Sentinel
El incidente contiene dispositivos de los grupos de dispositivos de Defender para punto de conexión. Acceso al grupo de dispositivos del punto de conexión
El incidente contiene una alerta de Prevención de pérdida de datos (DLP) de Microsoft Purview o de gobernanza de aplicaciones. Permisos fuera de RBAC unificado

Los incidentes pueden contener alertas de varias cargas de trabajo. Complete todas las comprobaciones aplicables.

Comprobación de la antigüedad del incidente

El Agente de investigación de ataques admite incidentes, casos y alertas de hasta 30 días de antigüedad.

  1. Abra el incidente, el caso o la alerta en el portal de Defender.

  2. Revise su antigüedad.

    Captura de pantalla de un gráfico de ataque del incidente que muestra su primera actividad, última actividad y hora de creación.

  3. Si tiene más de 30 días de antigüedad, use una semilla más reciente. El agente no puede acceder a los datos fuera de la ventana admitida, aunque todavía estén disponibles en el portal de Microsoft Defender.

Comprobar acceso de lectura de la carga de trabajo

Use las alertas del incidente o caso para identificar cada carga de trabajo a la que el agente deba acceder.

  1. En la página del incidente o del caso, seleccione la pestaña Alertas.

  2. Abra cada alerta y anote los valores de Orígenes de servicio, Orígenes de detección y Nombres de producto. El agente deberá tener permiso de lectura en los orígenes de al menos una alerta.

    Captura de pantalla de una pestaña Alertas de incidentes en la que se muestra el origen de detección de la alerta y el nombre del producto.

  3. Vaya a Instalación y configuración>Configuración>Microsoft Defender XDR>Permisos y roles. Asegúrese de que las cargas de trabajo pertinentes para los productos de alerta estén habilitadas para RBAC unificado.

    Captura de pantalla de la configuración unificada de la carga de trabajo de control de acceso basado en rol que muestra Defender para Office 365 y los permisos de Exchange Online activos.

  4. Vaya al rol RBAC unificado del agente, que localizó antes desde la página del agente.

  5. Compruebe que la asignación incluye Conceptos básicos de datos de seguridad (Lectura) para todos los orígenes de datos pertinentes.

  6. En cada carga de trabajo que use ámbitos, verifique que al agente se le permita acceder a todos los ámbitos que apliquen a las alertas que esté investigando. Para obtener más información, consulte Administración de ámbitos de nube y RBAC unificado en Microsoft Defender para la nube y Configuración del acceso con ámbito para Microsoft Defender for Identity.

    Captura de pantalla de una asignación de rol de Agente de investigación en la que se muestran el usuario agéntico, los orígenes de datos y el ámbito de identidad.

Comprobación del acceso al área de trabajo de Microsoft Sentinel

Si una alerta procede de Microsoft Sentinel, identifique su área de trabajo de origen mediante Advanced Hunting. El área de trabajo debe estar conectada al portal de Defender y disponible para el usuario agéntico.

  1. Para localizar el área de trabajo de Sentinel, vaya a Investigación & respuesta>Búsqueda>Búsqueda avanzada y ejecute la consulta siguiente: AlertInfo | where AlertId == '...' | project SentinelWorkspaceIds. Asegúrese de ajustar el filtro de tiempo según la alerta seleccionada.

  2. Asegúrese de que el área de trabajo está conectada a Microsoft Defender en Instalación y configuración>>>.

  3. Asegúrese de que esté habilitada para RBAC unificado en Configuración & configuración>Configuración>Microsoft Defender XDR>Permisos y roles. Expanda la carga de trabajo Microsoft Sentinel y verifique que el área de trabajo exacta esté activada. Si no está habilitado para RBAC unificado y prefiere que permanezca de esta manera, consulte la nota siguiente.

    Captura de pantalla de la configuración unificada de la carga de trabajo de control de acceso basado en rol que muestra un área de trabajo de Microsoft Sentinel activada.

  4. Vaya al rol RBAC unificado del agente, que localizó antes desde la página del agente. Compruebe que la asignación de roles del agente incluye esa área de trabajo.

    Captura de pantalla de una asignación de roles de agente que muestra Microsoft Sentinel acceso a todas las áreas de trabajo disponibles.

Nota

En el caso de las áreas de trabajo que todavía usan Azure RBAC, compruebe que el usuario agéntico tiene el rol Microsoft Sentinel Reader para el área de trabajo necesaria. Asigne el rol en el ámbito de Azure más estrecho que incluya el espacio de trabajo.

Comprobar el acceso al grupo de dispositivos del punto de conexión

El acceso a grupos de dispositivos en Defender for Endpoint se configura independientemente de los permisos de rol RBAC unificados.

  1. En la página incidente o caso, identifique todos los dispositivos asociados a cualquiera de las alertas incluidas.
  2. Abra cada página de dispositivo y anote su grupo de dispositivos.
  3. Vaya a Configuración>Endpoints>Permisos>Grupos de dispositivos.
  4. Abra cada grupo de dispositivos necesario y revise Acceso de usuario.
  5. Verifique que el grupo de dispositivos permite un grupo de seguridad de Microsoft Entra que contenga al usuario agéntico.

Debe existir la cadena de acceso completa: usuario agéntico a grupo de seguridad de Microsoft Entra a grupo de dispositivos de Defender para punto de conexión. Los permisos de RBAC unificados o la pertenencia a un grupo de seguridad sin asignar no conceden acceso al grupo de dispositivos. Para obtener más información, consulte Creación y administración de grupos de dispositivos en Microsoft Defender para punto de conexión.

Comprobar permisos fuera de RBAC unificado

Algunos tipos de alertas usan modelos de permisos fuera de Defender RBAC unificado.

Alertas de DLP

Microsoft Purview rige el acceso a las alertas de DLP. Defender RBAC unificado solo no concede este acceso.

Alertas de gobernanza de aplicaciones

Microsoft Entra roles controlan el acceso a los datos de incidentes y alertas de gobernanza de aplicaciones. Defender RBAC unificado solo no concede este acceso.

  1. Si Origen de detección identifica la gobernanza de aplicaciones, asigne al usuario agéntico el rol Lector de seguridad en Microsoft Entra.
  2. Inicie una nueva sesión después de que la asignación de roles se propague.

Para obtener más información, consulte Roles necesarios para la gobernanza de aplicaciones y permisos de Microsoft Defender for Cloud Apps en RBAC unificado.

Reintentar después de un cambio de acceso

Después de un cambio aprobado, espere tiempo para que la actualización de permisos se propague e inicie una nueva sesión. Si la recuperación sigue sin funcionar, proporcione al Soporte técnico de Microsoft el inquilino, la sesión y los identificadores de incidente o alerta.

Contenido relacionado

  • Se actualizó por última vez el